Event ID 4624

Définition

L'Event ID 4624, intitulé An account was successfully logged on, est l'événement de sécurité Windows généré à chaque authentification réussie sur un système, qu'il s'agisse d'une connexion interactive locale, d'une connexion réseau, d'une session RDP ou d'une authentification de service, constituant l'un des journaux les plus fondamentaux et les plus volumineux de toute stratégie de surveillance en environnement Active Directory. Cet événement capture un ensemble d'informations précieuses pour la détection, notamment le type de connexion (Logon Type), une valeur numérique distinguant précisément une connexion interactive locale, une connexion réseau typique d'un accès à un partage SMB, une connexion RDP identifiée comme Remote Interactive, ou une connexion via des identifiants explicites, ainsi que le compte source et la machine ou l'adresse IP d'origine de la tentative d'authentification. La corrélation de ces types de connexion avec le contexte habituel d'un compte permet de détecter des anomalies caractéristiques de techniques d'attaque documentées : une connexion Domain Admin de type Network Logon vers un poste de travail standard, en violation du Tier Model, ou une séquence de connexions RDP successives vers de multiples machines en peu de temps, évocatrice d'un mouvement latéral en cours. Le volume généré par cet événement en production nécessite un filtrage et une corrélation SIEM rigoureux pour en extraire une valeur de détection exploitable sans saturer les capacités d'analyse.